Gladiator9797

An attacker who controls the registry, a mirror, or the network path to it may be able to serve arbitrary image content in response to a pull by digest, so that a user runs an image other than the one they pinned. The fix compares the returned digest to the pinned digest and fails the pull on a mismatch. Tag pulls are exempt, because a tag is mutable by design. The fix also verifies the hash of manifests and blobs when they are fetched. This vulnerability is addressed in container version 1.6.0 and containerization version 0.52.1.

Ao utilizar o provedor JDK padrão (onde o Apache Xerces está ausente do classpath), o software não bloqueia a resolução de recursos XInclude se a aplicação habilitar o XInclude. Isso ocorre ao usar fábricas de `XmlFactories.newDocumentBuilderFactory()` ou `XmlFactories.newSAXParserFactory()`, ou quando um `XMLReader` é processado via `XmlFactories.harden()`. Um invasor que forneça XML não confiável pode usar referências `xi:include` para expor arquivos locais ou realizar server-side request forgery (SSRF) para alcançar endpoints de rede interna via referências `http`. SSRF é uma técnica onde um invasor induz uma aplicação no servidor a fazer requisições para um local não pretendido.

Uma fraqueza de validação de entrada existe nos manipuladores de Neighbor Discovery IPv6 em `subsys/net/ip/ipv6 nbr.c`. As funções `handle ra input()`, `handle ns input()` e `handle na input()` utilizam uma expressão booleana incorreta ao combinar as verificações de validade da RFC 4861 com as verificações de código ICMPv6. Devido à precedência incorreta de operadores, pacotes com código ICMPv6 igual a 0 fazem com que todo o predicado de validação seja avaliado como falso, permitindo que o sistema ignore verificações obrigatórias, como a verificação de Hop Limit e a validação do endereço de origem. Isso permite que um invasor adjacente na mesma rede, ou potencialmente um invasor remoto, envie mensagens forjadas de Router Advertisement (RA), Neighbor Solicitation (NS) e Neighbor Advertisement (NA). Mensagens RA forjadas podem ser usadas para reconfigurar o roteador padrão, prefixos on-link (SLAAC), MTU, temporizadores e servidores DNS. Mensagens NS e NA forjadas podem levar ao envenenamento do cache de vizinhos, possibilitando ataques de man-in-the-middle, redirecionamento de tráfego e negação de serviço.